Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Store SPP Launcher Firewall Name' = '<SYSTEM32>\wmdyohdstzk.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Device Isolation Installer Desktop Health] 'Start' = '00000002'
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Создает и запускает на исполнение:
- '<SYSTEM32>\bysbgdeoe.exe' "<SYSTEM32>\wmdyohdstzk.exe"
- '%WINDIR%\Temp\zrxzeka2vwvnoxe.exe' -r 51881 tcp
- '%TEMP%\zrxzeka2p8fnoxezkatjft.exe'
- '<SYSTEM32>\wmdyohdstzk.exe'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\cxpjyaz\run
- <SYSTEM32>\cxpjyaz\rng
- %WINDIR%\Temp\zrxzeka2vwvnoxe.exe
- <SYSTEM32>\cxpjyaz\cfg
- <SYSTEM32>\bysbgdeoe.exe
- %TEMP%\zrxzeka2p8fnoxezkatjft.exe
- <SYSTEM32>\cxpjyaz\tst
- <SYSTEM32>\wmdyohdstzk.exe
- <SYSTEM32>\cxpjyaz\etc
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\bysbgdeoe.exe
- <SYSTEM32>\wmdyohdstzk.exe
Удаляет следующие файлы:
- %WINDIR%\Temp\zrxzeka2vwvnoxe.exe
- <DRIVERS>\etc\hosts
- %TEMP%\zrxzeka2p8fnoxezkatjft.exe
Подменяет файл HOSTS.
Сетевая активность:
Подключается к:
- 'de####ermail.net':80
- 'al###wore.net':80
- 'al###mail.net':80
- 'al###road.net':80
- 'de####erroad.net':80
- 'lo###ift.net':80
- 'so###ift.net':80
- 'de####erwhere.net':80
- 'de####erwore.net':80
- 'al###where.net':80
- 'fr###ywhere.net':80
- 'pu###oad.net':80
- 'fr###yroad.net':80
- 'de###here.net':80
- 'de###ore.net':80
- 'sh###where.net':80
- 'fr###ywore.net':80
- 'pu###here.net':80
- 'pu###ore.net':80
- 'pu###ail.net':80
- 'fr###ymail.net':80
- 'st###lift.net':80
- 'ba###ift.net':80
- 'sa###and.net':80
- 'sa###ound.net':80
- 'wh###hand.net':80
- 'ba###ound.net':80
- 'st###hand.net':80
- 'st###sound.net':80
- 'st###green.net':80
- 'ba###reen.net':80
- 'wh###sound.net':80
- 'so###ound.net':80
- 'lo###and.net':80
- 'lo###ound.net':80
- 'lo###reen.net':80
- 'so###reen.net':80
- 'wh###green.net':80
- 'sa###reen.net':80
- 'sa###ift.net':80
- 'so###and.net':80
- 'wh###lift.net':80
- 'ba###oad.net':80
- 'st###mail.net':80
- 'st###road.net':80
- 'it###need.com':80
- 'sa###here.net':80
- 'st###where.net':80
- 'ba###here.net':80
- 'ba###ore.net':80
- 'ba###ail.net':80
- 'st###wore.net':80
- 'na###eep.com':80
- 'na###here.net':80
- 'fr###yloss.net':80
- 'lo###old.net':80
- 'ab###ead.net':80
- 'fe###tate.net':80
- 'th###only.net':80
- 'eg###aker.com':80
- 'hi###ance.net':80
- 'gr###grain.net':80
- 'wr###below.net':80
- 'mo###where.net':80
- 'ti###here.net':80
- 'ti###ore.net':80
- 'ti###ail.net':80
- 'mo###wore.net':80
- 'de###ail.net':80
- 'sh###wore.net':80
- 'sh###mail.net':80
- 'sh###road.net':80
- 'de###oad.net':80
- 'mo###mail.net':80
- 'li###ail.net':80
- 'en###wore.net':80
- 'en###mail.net':80
- 'en###road.net':80
- 'li###oad.net':80
- 'mo###road.net':80
- 'ti###oad.net':80
- 'li###here.net':80
- 'li###ore.net':80
- 'en###where.net':80
TCP:
Запросы HTTP GET:
- http://de####ermail.net/index.php?me################################################
- http://al###wore.net/index.php?me################################################
- http://al###mail.net/index.php?me################################################
- http://al###road.net/index.php?me################################################
- http://de####erroad.net/index.php?me################################################
- http://lo###ift.net/index.php?me################################################
- http://so###ift.net/index.php?me################################################
- http://de####erwhere.net/index.php?me################################################
- http://de####erwore.net/index.php?me################################################
- http://al###where.net/index.php?me################################################
- http://fr###ywhere.net/index.php?me################################################
- http://pu###oad.net/index.php?me################################################
- http://fr###yroad.net/index.php?me################################################
- http://de###here.net/index.php?me################################################
- http://de###ore.net/index.php?me################################################
- http://sh###where.net/index.php?me################################################
- http://fr###ywore.net/index.php?me################################################
- http://pu###here.net/index.php?me################################################
- http://pu###ore.net/index.php?me################################################
- http://pu###ail.net/index.php?me################################################
- http://fr###ymail.net/index.php?me################################################
- http://st###lift.net/index.php?me################################################
- http://ba###ift.net/index.php?me################################################
- http://sa###and.net/index.php?me################################################
- http://sa###ound.net/index.php?me################################################
- http://wh###hand.net/index.php?me################################################
- http://ba###ound.net/index.php?me################################################
- http://st###hand.net/index.php?me################################################
- http://st###sound.net/index.php?me################################################
- http://st###green.net/index.php?me################################################
- http://ba###reen.net/index.php?me################################################
- http://wh###sound.net/index.php?me################################################
- http://so###ound.net/index.php?me################################################
- http://lo###and.net/index.php?me################################################
- http://lo###ound.net/index.php?me################################################
- http://lo###reen.net/index.php?me################################################
- http://so###reen.net/index.php?me################################################
- http://wh###green.net/index.php?me################################################
- http://sa###reen.net/index.php?me################################################
- http://sa###ift.net/index.php?me################################################
- http://so###and.net/index.php?me################################################
- http://wh###lift.net/index.php?me################################################
- http://ba###oad.net/index.php?me################################################
- http://st###mail.net/index.php?me################################################
- http://st###road.net/index.php?me################################################
- http://it###need.com/index.php?me################################################
- http://sa###here.net/index.php?me################################################
- http://st###where.net/index.php?me################################################
- http://ba###here.net/index.php?me################################################
- http://ba###ore.net/index.php?me################################################
- http://ba###ail.net/index.php?me################################################
- http://st###wore.net/index.php?me################################################
- http://na###eep.com/index.php?me################################################
- http://na###here.net/index.php?me################################################
- http://fr###yloss.net/index.php?me################################################
- http://lo###old.net/index.php?me################################################
- http://ab###ead.net/index.php?me################################################
- http://fe###tate.net/index.php?me################################################
- http://th###only.net/index.php?me################################################
- http://eg###aker.com/index.php?me################################################
- http://hi###ance.net/index.php?me################################################
- http://gr###grain.net/index.php?me################################################
- http://wr###below.net/index.php?me################################################
- http://mo###where.net/index.php?me################################################
- http://ti###here.net/index.php?me################################################
- http://ti###ore.net/index.php?me################################################
- http://ti###ail.net/index.php?me################################################
- http://mo###wore.net/index.php?me################################################
- http://de###ail.net/index.php?me################################################
- http://sh###wore.net/index.php?me################################################
- http://sh###mail.net/index.php?me################################################
- http://sh###road.net/index.php?me################################################
- http://de###oad.net/index.php?me################################################
- http://mo###mail.net/index.php?me################################################
- http://li###ail.net/index.php?me################################################
- http://en###wore.net/index.php?me################################################
- http://en###mail.net/index.php?me################################################
- http://en###road.net/index.php?me################################################
- http://li###oad.net/index.php?me################################################
- http://mo###road.net/index.php?me################################################
- http://ti###oad.net/index.php?me################################################
- http://li###here.net/index.php?me################################################
- http://li###ore.net/index.php?me################################################
- http://en###where.net/index.php?me################################################
UDP:
- DNS ASK de####ermail.net
- DNS ASK al###wore.net
- DNS ASK al###mail.net
- DNS ASK al###road.net
- DNS ASK de####erroad.net
- DNS ASK lo###ift.net
- DNS ASK so###ift.net
- DNS ASK de####erwhere.net
- DNS ASK de####erwore.net
- DNS ASK al###where.net
- DNS ASK fr###ywhere.net
- DNS ASK pu###oad.net
- DNS ASK fr###yroad.net
- DNS ASK de###here.net
- DNS ASK de###ore.net
- DNS ASK sh###where.net
- DNS ASK fr###ywore.net
- DNS ASK pu###here.net
- DNS ASK pu###ore.net
- DNS ASK pu###ail.net
- DNS ASK fr###ymail.net
- DNS ASK lo###reen.net
- DNS ASK ba###ift.net
- DNS ASK st###green.net
- DNS ASK st###lift.net
- DNS ASK wh###hand.net
- DNS ASK sa###and.net
- DNS ASK st###hand.net
- DNS ASK ba###and.net
- DNS ASK ba###ound.net
- DNS ASK ba###reen.net
- DNS ASK st###sound.net
- DNS ASK sa###ound.net
- DNS ASK lo###and.net
- DNS ASK so###and.net
- DNS ASK so###ound.net
- DNS ASK so###reen.net
- DNS ASK lo###ound.net
- DNS ASK sa###reen.net
- DNS ASK wh###sound.net
- DNS ASK wh###green.net
- DNS ASK wh###lift.net
- DNS ASK sa###ift.net
- DNS ASK ba###oad.net
- DNS ASK st###mail.net
- DNS ASK st###road.net
- DNS ASK it###need.com
- DNS ASK sa###here.net
- DNS ASK st###where.net
- DNS ASK ba###here.net
- DNS ASK ba###ore.net
- DNS ASK ba###ail.net
- DNS ASK st###wore.net
- DNS ASK na###eep.com
- DNS ASK na###here.net
- DNS ASK fr###yloss.net
- DNS ASK lo###old.net
- DNS ASK ab###ead.net
- DNS ASK fe###tate.net
- DNS ASK th###only.net
- DNS ASK eg###aker.com
- DNS ASK hi###ance.net
- DNS ASK gr###grain.net
- DNS ASK wr###below.net
- DNS ASK mo###where.net
- DNS ASK ti###here.net
- DNS ASK ti###ore.net
- DNS ASK ti###ail.net
- DNS ASK mo###wore.net
- DNS ASK de###ail.net
- DNS ASK sh###wore.net
- DNS ASK sh###mail.net
- DNS ASK sh###road.net
- DNS ASK de###oad.net
- DNS ASK mo###mail.net
- DNS ASK li###ail.net
- DNS ASK en###wore.net
- DNS ASK en###mail.net
- DNS ASK en###road.net
- DNS ASK li###oad.net
- DNS ASK mo###road.net
- DNS ASK ti###oad.net
- DNS ASK li###here.net
- DNS ASK li###ore.net
- DNS ASK en###where.net
- '23#.#55.255.250':1900
